EU verplicht melding van productlek binnen 24 uur

Sinds 11 september heeft elk bedrijf dat in de EU onder eigen merk verbonden apparaten of commerciële software verkoopt, 24 uur om de autoriteiten te waarschuwen zodra het weet dat aanvallers een kwetsbaarheid misbruiken. Die plicht geldt ook voor producten die al op de markt zijn, zelfs voor apparaten die jaren geleden zijn verkocht (Regulation, European Commission). Binnen een dag kan de kennis van een bedrijf over een aanval zo de cyberautoriteiten in de hele EU bereiken. Een melding aan de autoriteiten zorgt er overigens niet voor dat er meteen een oplossing op een apparaat staat.

De meldplicht is het eerste onderdeel van de Cyber Resilience Act, de productbeveiligingswet van de EU, dat van kracht wordt. De regels voor het ontwerp van producten gelden pas vanaf 11 december 2027 (ENISA).

Wat de klok start

Twee soorten gebeurtenissen verplichten fabrikanten tot een melding. De eerste is een actief misbruikte kwetsbaarheid: er moet betrouwbaar bewijs zijn dat iemand de fout zonder toestemming van de eigenaar kwaadwillig heeft gebruikt. Ook een ernstig incident dat de productbeveiliging raakt, verplicht tot melding, zelfs als er geen kwetsbaarheid is aangetoond. Een onderzoeker die een fout vertrouwelijk meldt terwijl er geen aanwijzingen zijn voor een aanval, hoeft volgens de richtlijnen van het Nederlandse Nationaal Cyber Security Centrum (NCSC) geen melding te doen (Dutch NCSC).

De termijn begint zodra de fabrikant van het probleem weet. Het moment waarop aanvallers toesloegen, bepaalt de start dus niet; op een patch hoeft de fabrikant evenmin te wachten. Binnen 24 uur moet een eerste waarschuwing worden ingediend, gevolgd door een uitgebreidere melding binnen 72 uur. Beide termijnen lopen vanaf hetzelfde moment, niet vanaf de eerste melding (ENISA FAQ).

Een definitief verslag volgt later. De termijn daarvoor hangt af van de vraag of een misbruikte kwetsbaarheid of een incident de melding uitlokte. De fabrikant moet getroffen gebruikers ook vertellen hoe zij zichzelf kunnen beschermen (Regulation).

Waar de melding terechtkomt

Alle meldingen lopen via de Single Reporting Platform van ENISA, het cyberbeveiligingsagentschap van de EU. De fabrikant richt de melding aan het CSIRT in het land waar de onderneming haar belangrijkste EU-vestiging heeft. Een CSIRT is het nationale team dat cyberincidenten behandelt. Dat team stuurt de melding door naar zijn tegenhangers in elk land waar het product wordt verkocht (ENISA).

Meldingen worden niet openbaar gemaakt. Sommige gaan over kwetsbaarheden waarvoor nog geen oplossing bestaat. In uitzonderlijke gevallen kan het coördinerende team de verdere verspreiding daarom beperken, maar de termijnen voor de fabrikant blijven wel gelden (Regulation). Die regel ondervangt een concreet risico: details over een nog niet verholpen zwakke plek worden gevaarlijker naarmate meer mensen ze kennen.

Wie klaar moet staan

Een 'fabrikant' is de partij die een product onder eigen naam verkoopt. Waar het hoofdkantoor staat en hoe groot het bedrijf is, maakt niet uit. Daardoor vallen zowel een controller voor onderhoud op afstand van een Duitse machinebouwer als een commerciële app van een Iers bedrijf onder de regels, zelfs als die app gratis te downloaden is (Silicon Republic).

De grootste opgave zit in de organisatie. Iemand die bevoegd is een melding te doen, moet een aanval kunnen herkennen en beoordelen, en ook op zondagavond een rapport kunnen indienen. Op 11 september riep VDE, de Duitse brancheorganisatie voor elektrotechniek, producenten op procedures voor opsporing en escalatie in te richten (VDE).

In de Franse berichtgeving vlak voor de start stond dat meldingen handmatig moesten worden ingediend en dat een koppeling voor automatische rapportage ontbrak (ZDNet France). Daardoor moet er telkens iemand beschikbaar zijn zodra de termijn begint.

Bedrijven die de termijnen missen, kunnen worden aangepakt door nationale markttoezichthouders. Die toezichthouders kunnen onderzoeken of producten aan de regels voldoen en bedrijven beboeten. De boetes kunnen oplopen tot €15 miljoen of 2,5% van de wereldwijde omzet (Regulation). De aankondigingen bij de start leggen de procedure uit, maar vermelden niet hoeveel meldingen zijn binnengekomen (ENISA, European Commission).

Europa heeft nu één kanaal voor informatie van fabrikanten over aanvallen. Via dat kanaal komt die informatie in beginsel terecht bij de nationale cyberteams van elk land waar het product wordt verkocht, ook als het om oudere producten gaat die nog in gebruik zijn. Zo horen overheden sneller wat er speelt. Gebruikers zijn pas beschermd zodra een werkende patch hun apparaat bereikt.

ENISA en de Commissie kunnen laten zien of snellere meldingen ook tot snellere oplossingen leiden. Daarvoor moeten ze twee cijfers publiceren: hoeveel meldingen binnenkomen en hoe lang gebruikers wachten voordat een patch hun apparaat bereikt.